鐵人賽 Day 29 逆向思維帶來的啟發：從攻擊到防禦

2025 年 09 月 29 日

文章目錄

本系列文章所討論的 JavaScript 資安與逆向工程技術，旨在分享知識、探討防禦之道，並促進技術交流。

所有內容僅供學術研究與學習，請勿用於任何非法或不道德的行為。

讀者應對自己的行為負完全責任。尊重法律與道德規範是所有技術人員應共同遵守的準則。

為什麼攻擊思維能幫助防禦？

開發時我們習慣專注在功能能不能跑起來，但忽略了如果被惡意使用會怎麼樣。

若能知曉攻擊者的攻擊角度，正好幫助我們發現這些盲點。

攻擊者的本能是尋找最薄弱的一環。

只要能提前想像出這些路徑，我們就能提前設下防線。

防禦不是資安團隊的專利，而是所有開發者都該養成的習慣。

寫程式時需要多思考這段邏輯會不會被濫用？

如果有人惡意修改參數，會發生什麼事？

有人可能嘗試竄改 URL 參數或時間戳模擬請求，不能相信前端傳來的數據，最好結合驗證參數。

重要演算法或金鑰必須放在伺服器，前端只保留必要的輸入輸出做混淆或流程切割。

加入反偵測與檢查機制，用意不是完全防止而是增加難度與成本，讓惡意嘗試成本更高。

避免使用過時演算法或過短金鑰，採用業界標準如 AES、RSA，並確保金鑰長度與更新金鑰機制。

若 API 只靠簡單參數區分，極有可能被人任意存取，必須在伺服器端進行身分驗證與權限檢查，並且記錄異常存取行為。

把惡意嘗試視為一種測試，幫助系統在設計階段就更加完善。

不再只是能不能跑，而是會不會被利用。

這種習慣能讓程式設計更全面。

攻擊與防禦的界線往往只是角度的不同，想像可能遭受到的攻擊其實就是在替防禦預先鋪路。

每一次換位思考都是對系統更全面的檢視，我們要學習的不是如何破壞，而是如何讓系統更難被破壞。